Podsumowanie

Jak pokazują wyżej omówione zagrożenia, kwestia ochrony sesji użytkownika nie powinna być lekceważona, tym bardziej że standardowy mechanizm sesji zaimplementowany w PHP nie daje wystarczającego poziomu bezpieczeństwa.

Gorąco zachęcam do zgłębiania tematu we własnym zakresie w obszernych zasobach Internetu (i nie tylko). Literatura poniżej.

Literatura

• Dokumentacja PHP (funkcje, dyrektywy konfiguracyjne, przykłady, itp.) - http://pl.php.net/session/
• PHP Architect's Guide to PHP Security, Marco Tabini & Associates, Inc. 2005.
• PHP5. Tworzenie bezpiecznych stron WWW, Helion 2006.
• Security Corner: All Your Session Are Still Belong to Us!, PHP Architect 6/2006.
• Session Fixation Vulnerability in Web-based Applications, ACROS Security 2002. http://www.acros.si/papers/session_fixation.pdf
• PHP and Session Fixation. http://www.hardened-php.net/php_and_session_fixation.48.html
• Web Based Session Management (Best practices in managing HTTP-based client sessions). http://www.technicalinfo.net/papers/WebBasedSessionManagement.html
• Authentication and Session Management on the Web, 2004. http://www.westpoint.ltd.uk/advisories/Paul_Johnston_GSEC.pdf
• Security for websites - breaking sessions to hack into a machine, (IN)SECURE Magazine 3/2006. http://www.net-security.org/dl/insecure/INSECURE-Mag-6.pdf
• Cookie Path Best Practice, Corsaire Limited 2004. http://research.corsaire.com/whitepapers/040323-cookie-path-best-practice.pdf